New York (USA) – I laboratori di sicurezza Netcraft hanno scoperto quella che ritengono essere una grave falla di sicurezza nel sito ufficiale di PayPal , il sistema di gestione pagamenti online di proprietà del gruppo eBay .
Un malintenzionato avrebbe potuto sfruttare questa vulnerabilità per condurre un attacco di tipo cross-scripting , una tecnica molto utilizzata nel cosiddetto phishing : i visitatori del sito pensano di essere sulla pagina originale del servizio ed invece vengono dirottati su uno “specchietto per allodole” ricreato ad arte.
“La truffa su PayPal.com era molto accurata e convincente”, dicono i portavoce di Netcraft: “La vittima viene invitata a visitare la URL di una pagina ospitata sul sito di PayPal, completamente genuina e quindi dotata delle varie icone che avvertono della presenza di crittografia SSL ed ogni altro tipo di rassicurazione”. Il malcapitato a questo punto è sicuro di trovarsi su un sito autorizzato e protetto: i truffatori, sfruttando la vulnerabilità ed usando la tecnica del cross-scripting, possono modificare i contenuti della pagina visualizzata e gabbare il visitatore.
A questo punto, la truffa procedeva come qualsiasi altro episodio “classico” di phishing: “La pagina modificata dai truffatori avverte il visitatore che il suo account PayPal è stato compromesso”, dice Paul Mutton di Netcraft. La vittima veniva quindi rediretta su un server sudcoreano , dove inseriva i propri dati personali su una pagina progettata ad arte per somigliare a quella di PayPal. “Il dominio PayPal.com ed il certificato SSL che l’utente ha visto pochi minuti prima sono del tutto autentici”, spiega Mutton, “per quale motivo un utente dovrebbe credere d’essere reindirizzato su un sito fraudolento?”.
La falla è stata scoperta due giorni fa e i responsabili di PayPal hanno già risolto il problema. Ma non sanno, almeno per il momento, quante persone sono cadute nella truffa. “Non appena abbiamo saputo del problema, ci siamo attivati per modificare il nostro sito e renderlo sicuro”.
Ti potrebbe interessare
19 giu 2006